Dersom det eksplisitt står i en lov at skolen kan/skal/har rett til å samle inn bestemte opplysninger om elevene, regnes dette som lovhjemmel. Det samme gjelder dersom slik bestemmelse finnes i en forskrift som har hjemmel i lov. Poenget med lovhjemmel som rettslig grunnlag er at lovgiver har vurdert de personvernmessige aspektene ved å registrere og behandle personopplysningene. At det er nødvendig eller ønskelig å behandle personopplysninger for å utføre gjøremål som en lov beskriver er ikke nok. Det finnes således flere bestemmelser som gjør behandling av elevopplysninger nødvendige, se for eksempel opplæringslova § 14-1 fjerde ledd og opplæringsforskriften § 2-3 . I slike tilfelle må vurderingen skje ut i fra "nødvendig grunn". Når behandlingsgrunnlaget er lovhjemmel, gir det Datatilsynet mindre spillerom for å bestemme enn om grunnlaget er nødvendig grunn eller samtykke.
Eksempler
I opplæringslova § 14-1 står det at "Departementet kan gi forskrifter som pålegg dei ansvarlege for opplæringsverksemd etter denne lova og dei som mottar slik opplæring å gi opplysningar og delta i evalueringar og rapportere om forhold som er av betydning for evaluering av opplæringsverksemda som er omfatta av denne lova." Dette kan neppe regnes som lovhjemmel fordi lovgiver ikke konkret har tatt stilling til hva som skal behandles av personopplysninger, hvorledes dette skal skje og hvilke personvernmessige konsekvenser slik evaluering har. I tilsvarende stilling kommer forskrift til opplæringslova som i § 2-3 fastsetter at "Skoleeigaren skal sørgje for at nasjonale undersøkingar om motivasjon, trivsel, mobbing, elevmedverknad, elevdemokrati og det fysiske miljøet blir gjennomførte og følgde opp lokalt." Begge eksempler gir imidlertid grunnlag for å behandle slike opplysninger som er nødvendige for å gjennomføre slike evalueringer og undersøkelser som er beskrevet. Det rettslige grunnlaget blir da "nødvendig grunn" (se § 8 bokstav e), ikke lovhjemmel.
